RP 224/2018 rd. De föreslagna lagarna avses träda i kraft så snart som möjligt.

Transkript

1 Regeringens proposition till riksdagen med förslag till lag om behandling av personuppgifter i migrationsförvaltningen och till vissa lagar som har samband med den PROPOSITIONENS HUVUDSAKLIGA INNEHÅLL I denna proposition föreslås att det stiftas en lag om behandling av personuppgifter i migrationsförvaltningen. Lagen ska tillämpas på behandling av personuppgifter i migrationsförvaltningen. Avsikten är att lagen ska ersätta lagen om utlänningsregistret, som föreslås bli upphävd. I den föreslagna lagen koncentreras bestämmelserna i de andra lagar inom migrationsförvaltningens förvaltningsområde som gäller behandlingen av personuppgifter. I propositionen ingår också förslag till lagar om ändring av lagen om mottagande av personer som söker internationellt skydd och om identifiering av och hjälp till offer för människohandel, lagen om bemötande av utlänningar som tagits i förvar och om förvarsenheter, lagen om främjande av integration, medborgarskapslagen, lagen om Migrationsverket, säkerhetsutredningslagen, lagen om Enheten för utredning av grå ekonomi och utlänningslagen. Målet är att bestämmelserna om behandling av personuppgifter i migrationsförvaltningen i fortsättningen ska finnas i en lag som uppfyller kraven på en modern personuppgiftslag och som kompletterar Europeiska unionens dataskyddsförordning, dataskyddslagen och den kommande lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten. De föreslagna lagarna avses träda i kraft så snart som möjligt.

2 INNEHÅLL PROPOSITIONENS HUVUDSAKLIGA INNEHÅLL...1 INNOHÅLL...2 ALLMÄN MOTIVERING INLEDNING NULÄGE Lagstiftning och praxis Inledning Behandlingen av personuppgifter i migrationsförvaltningen Den internationella utvecklingen samt lagstiftningen i utlandet och i EU EU:s dataskyddsreform Europeiska unionens lagstiftning om invandring Europarådets konventioner Lagstiftningen i utlandet BEDÖMNING AV NULÄGET Direkta följder av dataskyddsförordningen Lagens struktur och tillämpningsområde Registerföring Registrerades rättigheter Särskilda kategorier av personuppgifter Automatiserade enskilda beslut MÅLSÄTTNING OCH DE VIKTIGASTE FÖRSLAGEN Målsättning Alternativ Reglering baserad på register, ändamål eller informationssystem Centraliserad eller decentraliserad reglering av personuppgifter Lagens tillämpningsområde Personuppgiftsansvariga Bestämmelser om rätten till personuppgifter Automatiserade enskilda beslut Nationell reglering till följd av Europeiska unionens förordning om skyldigheten att lagra personuppgifter i unionens gemensamma informationssystem De viktigaste förslagen Centralisering av regleringen av de personuppgifter som behandlas i migrationsförvaltningen Rättslig grund för behandlingen av personuppgifter Mål för behandlingen av personuppgifter Behandling av personuppgifter baserat på ändamålet med behandlingen och lagens tillämpningsområde Förhållande till annan lagstiftning Gemensamt personuppgiftsansvariga Förenlig behandling av personuppgifter Behandling av personuppgifter för andra ändamål än det ursprungliga Uppgifter som ska behandlas Behandling av särskilda kategorier av personuppgifter Bestämmelser om utlämning av personuppgifter och tillgång till information

3 Den registrerades rättigheter och begränsning av dem Automatiserade individuella beslut PROPOSITIONENS KONSEKVENSER Ekonomiska konsekvenser Konsekvenser för myndigheterna Samhälleliga konsekvenser BEREDNINGEN AV PROPOSITIONEN Beredningsskeden och beredningsmaterial Remissyttranden och hur de har beaktats SAMBAND MED ANDRA PROPOSITIONER...47 DETALJMOTIVERING LAGFÖRSLAG Lag om behandling av personuppgifter i migrationsförvaltningen Lagen om mottagande av personer som söker internationellt skydd och om identifiering och hjälp till offer för människohandel Lagen om bemötande av utlänningar som tagits i förvar och om försvarsenheter Lagen om främjande av integration Medborgarskapslagen Lagen om Migrationsverket Säkerhetsutredningslagen Lagen om Enheten för utredning av grå ekonomi Utlänningslagen IKRAFTTRÄDANDE FÖRHÅLLANDE TILL GRUNDLAGEN SAMT LAGSTIFTNINGSORDNING...82 LAGFÖRSLAG Lag om behandling av personuppgifter i migrationsförvaltningen Lag om ändring av lagen om mottagande av personer som söker internationellt skydd och om identifiering av och hjälp till offer för människohandel Lag om ändring av lagen om bemötande av utlänningar som tagits i förvar och om förvarsenheter Lag om ändring av lagen om främjande av integration Lag om upphävande av 48 i medborgarskapslagen Lag om ändring av lagen om Migrationsverket Lag om ändring av 25 och 37 i säkerhetsutredningslagen Lag om ändring av 6 i lagen om Enheten för utredning av grå ekonomi Lag om ändring av utlänningslagen BILAGOR PARALLELLTEXT Lag om ändring av lagen om mottagande av personer som söker internationellt skydd och om identifiering av och hjälp till offer för människohandel Lag om ändring av lagen om bemötande av utlänningar som tagits i förvar och om förvarsenheter Lag om ändring av lagen om främjande av integration Lag om upphävande av 48 i medborgarskapslagen Lag om ändring av lagen om Migrationsverket Lag om ändring av 25 och 37 i säkerhetsutredningslagen Lag om ändring av 6 i lagen om Enheten för utredning av grå ekonomi

4 ALLMÄN MOTIVERING 1 Inledning I denna proposition föreslås att det stiftas en lag om behandling av personuppgifter i migrationsförvaltningen. Lagen ska tillämpas på behandling av personuppgifter i migrationsförvaltningen. Till lagen koncentreras bestämmelser i migrationsförvaltningens lagar om behandling av personuppgifter i migrationsförvaltningen. Målet är att bestämmelserna om behandling av personuppgifter i migrationsförvaltningen i fortsättningen ska finnas i en lag som uppfyller kraven enligt en modern personuppgiftslag och som säkerställer enhetligheten i behandlingen av personuppgifter i alla de fall då personuppgifter behandlas i migrationsförvaltningen. Målet är att säkerställa att skyddet för privatlivet enligt 10 1 mom. i grundlagen samt kravet om att bestämmelser om skydd för personuppgifter ska utfärdas genom lag uppfylls i laga ordning i migrationsförvaltningen. Med beaktande av att de personuppgifter som behandlas i migrationsförvaltningen är av känslig karaktär, är den föreslagna personuppgiftslagen nödvändig på grund av de risker och hot som behandlingen medför. Lagen ska ersätta lagen om utlänningsregistret (1270/1997), nedan utlänningsregisterlagen. Utlänningsregisterlagen innehåller registerbestämmelser enligt utlänningslagen (301/2004), medborgarskapslagen (359/2003), lagen om villkor för tredjelandsmedborgares inresa och vistelse för säsongsanställning (907/2017), nedan lagen om säsongsanställning, lagen om villkor för inresa och vistelse för tredjelandsmedborgare inom ramen för företagsintern förflyttning av personal (908/2017), nedan ICT-lagen, och lagen om villkoren för tredjelandsmedborgares inresa och vistelse på grund av forskning, studier, praktik och volontärarbete (719/2018), nedan forskar- och studerandelagen. Även registerbestämmelser i annan lagstiftning på migrationsförvaltningens område ska koncentreras till den föreslagna lagen, dvs. bestämmelserna i lagen om mottagande av personer som söker internationellt skydd och om identifiering av och hjälp till offer för människohandel (746/2011), nedan mottagandelagen, och i lagen om bemötande av utlänningar som tagits i förvar och om förvarsenheter (116/2002), nedan förvarslagen. Dessutom föreslås det att till lagen fogas registerbestämmelserna i lagen om främjande av integration (1386/2010), nedan integrationslagen, som hör till arbets- och näringsministeriets förvaltningsområde. Det registerbaserade regleringssättet ersätts genom bestämmelser om behandling av personuppgifter. I propositionen ingår också förslag till lagar om ändring av medborgarskapslagen, lagen om Migrationsverket, säkerhetsutredningslagen och lagen om Enheten för utredning av grå ekonomi och utlänningslagen. Propositionen ingår i totalrevideringen av Finlands dataskyddslagstiftning. Revideringen grundar sig på Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, nedan dataskyddsförordningen, samt Europarlamentets och rådet direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, nedan dataskyddsdirektivet. Dataskyddsförordningen tillämpas från den 25 maj På det nationella planet kommer dataskyddsförordningen i fortsättningen att preciseras och kompletteras genom dataskyddslagen, och propositionen med förslag till dataskyddslag (RP 9/2018 rd) behandlas för närvarande av riksdagen. Dataskyddslagen ska ersätta lagen om behandling av personuppgifter (523/1999), nedan personuppgiftslagen, som sedan 1999 har tillämpats på behandlingen av personuppgifter i Finland. Dataskyddsdirektivet genomförs genom lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten, nedan dataskyddslagen för brottmål. Propositionen med förslag till dataskyddslag för brottmål (RP 31/2018 rd) behandlas för närvarande av riksdagen. Dataskyddsförordningen och 4

5 lagstiftningen som kompletterar den tillämpas när det är fråga om behandling av personuppgifter på något annat område än tillämpningsområdet för dataskyddsdirektivet och dataskyddslagen för brottmål genom vilken direktivet genomförs. Dataskyddsförordningen och dataskyddslagen kommer som regel att tillämpas vid migrationsförvaltningen. Lagen om behandling av personuppgifter i migrationsförvaltningen ska komplettera och precisera dataskyddsförordningen och dataskyddslagen i den mån det är tillåtet inom ramen för det nationella handlingsutrymme som medges medlemsstaternas lagstiftare och nödvändigt med beaktande av behoven vid migrationsförvaltningen för att skyddet för personuppgifter ska kunna genomföras. Dataskyddsförordningen, dataskyddslagen och den speciallagstiftning som kompletterar den ska tolkas som en helhet. Vid migrationsförvaltningen ska dataskyddslagen för brottmål tillämpas när personuppgifter behandlas i syfte att skydda den nationella säkerheten. 2 Nuläge 2.1 Lagstiftning och praxis Inledning Enligt 2 i grundlagen ska utövning av offentlig makt bygga på lag. I all offentlig verksamhet ska lagen noggrant iakttas. I 10 i grundlagen ingår bestämmelser om skyddet för privatlivet. Enligt 1 mom. i paragrafen är vars och ens privatliv, heder och hemfrid tryggade. Närmare bestämmelser om skydd av personuppgifter utfärdas genom lag. Skyddet för privatlivet har av tradition medfört en skyldighet för staten att såväl själv avhålla sig från att kränka medborgarnas privatliv som att också aktivt agera mot kränkningar av privatlivet. Utgångspunkten för skyddet för privatlivet är individens rätt att leva sitt eget liv utan att myndigheter och andra utomstående godtyckligt eller grundlöst ingriper i hans eller hennes privatliv. I förslaget till grundlag avser laghänvisningarna dels att förbehålla en reglering genom lag, dels att framhäva att regleringen i detalj föreskrivs utifrån det komplex som grundlagen och en vanlig lag utgör. Enligt grundlagsutskottets etablerade praxis begränsas lagstiftarens handlingsutrymme förutom av denna bestämmelse också av att skyddet av personuppgifter delvis omfattas av det skydd för privatlivet som tryggas i samma moment. Lagstiftaren ska trygga dessa rättigheter på ett sätt som kan anses godtagbart med tanke på det samlade systemet med grundläggande fri- och rättigheter. Enligt grundlagsutskottets etablerade praxis är viktiga regleringsobjekt när det gäller skyddet av personuppgifter åtminstone regleringens syfte, innehållet i de registrerade personuppgifterna, tillåtna användningsändamål liksom möjligheterna att lämna ut uppgifterna samt lagringstiden för dem i personregistret och den registrerades rättssäkerhet. Dessutom ska regleringen av dessa faktorer på lagnivå vara heltäckande, exakt och noggrant avgränsad (GrUU 14/2018 rd s. 2, GrUU 25/1998 rd s. 2). Grundlagsutskottet har också enligt tidigare praxis ansett att användningen av teknisk anslutning när det gäller skyddet av personuppgifter hör till de faktorer som ska regleras på lagnivå (GrUU 12/2002 rd). Enligt grundlagsutskottets utlåtandepraxis lämpar sig dessa synpunkter för reglering av användningen av personuppgifter också i vidare bemärkelse. Grundlagsutskottet har dock nyligen sett över sin praxis beträffande regleringen av skyddet av personuppgifter (GrUU 14/2018 rd). Enligt grundlagsutskottets nyare praxis kan kraven på att regleringen när det gäller skyddet av personuppgifter ska vara heltäckande, exakt och noggrant avgränsad i viss mån uppfyllas också genom en förordning utfärdad av Europeiska unionen eller en allmän lag som ingår i den nationella lagstiftningen. I princip är det tillräckligt om bestämmelserna om skyddet och behandlingen av personuppgifter är förenliga med dataskyddsförordningen. Enligt grundlagsutskottet ska skyddet av personuppgifter i fortsättningen 5

6 i första hand tillgodoses med stöd av dataskyddsförordningen och den nya nationella allmänna lagstiftningen. Således är det inte längre av konstitutionella skäl nödvändigt att speciallagstiftningen inom dataskyddsförordningens tillämpningsområde heltäckande och detaljerat föreskriver om behandling av personuppgifter. Den nationella speciallagstiftningen bör reserveras bara för situationer då den dels är tillåten enligt dataskyddsförordningen, dels är nödvändig för skyddet av personuppgifter (GrUU 14/2018 rd s. 3 4, GrUU 2/2018 rd s. 4 8). Enligt grundlagsutskottet är det samtidigt uppenbart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också krävs i dataskyddsförordningen måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter. Följaktligen menar utskottet att bestämmelserna om behandling av känsliga uppgifter fortfarande bör analyseras utifrån praxisen för tidigare bestämmelser på lagnivå i den utsträckning dataskyddsförordningen tillåter det. Där har behandlingen av känsliga uppgifter begränsats med exakta och noggrant avgränsade bestämmelser bara till det nödvändiga (GrUU 14/2018 rd). På behandlingen av personuppgifter i migrationsförvaltningen tillämpas i fortsättningen dataskyddslagen, som i egenskap av allmän lag preciserar och kompletterar dataskyddsförordningen. Enligt regeringens proposition RP 9/2018 rd ska i 1 kap. i dataskyddslagen ingå allmänna bestämmelser som gäller lagens tillämpningsområde, enligt vilka lagen tillämpas i enlighet med tillämpningsområdet för artikel 2 i dataskyddsförordningen och dessutom med vissa undantag också på sådan behandling av personuppgifter som inte hör till tillämpningsområdet för unionsrätten, om inte något annat föreskrivs någon annanstans i lag. I 2 kap. i dataskyddslagen föreskrivs om den rättsliga grunden för behandling av personuppgifter i vissa fall, såsom laglig behandling av personuppgifter och behandling av särskilda kategorier av personuppgifter. I 3 kap. ingår bestämmelser om tillsynsmyndigheter, dvs. dataombudsmannen och dennes uppgifter och befogenheter samt sakkunnignämnden. I 4 kap. föreskrivs om rättssäkerhet och påföljder, såsom rätten att föra ärenden till dataombudsmannen, vite och administrativa påföljdsavgifter. Dataskyddslagens 5 kap. innehåller bestämmelser om särskilda behandlingssituationer, såsom behandlingen av personuppgifter för journalistiska, akademiska, konstnärliga eller litterära ändamål, behandlingen av personbeteckningar samt undantag och skyddsåtgärder som avser behandlingen av personuppgifter för vetenskapliga och historiska forskningsändamål samt statistiska ändamål. I 6 kap. ingår särskilda bestämmelser samt ikraftträdande- och övergångsbestämmelser. Dataskyddsförordningen tillämpas när det är fråga om behandlingen av personuppgifter på något annat område än tillämpningsområdet för dataskyddslagen för brottmål genom vilken dataskyddsdirektivet verkställs. Beträffande den i denna proposition föreslagna lagen om behandling av personuppgifter i migrationsförvaltningen ska dataskyddslagen för brottmål tilllämpas när personuppgifter behandlas i syfte att skydda den nationella säkerheten. Enligt regeringens proposition som gäller dataskyddslagen för brottmål (RP 31/2018 rd) ska 1 kap. innehålla allmänna bestämmelser, 2 kap. principerna för behandling av personuppgifter, 3 kap. bestämmelser om personuppgiftsansvarig och personuppgiftsbiträde, 4 kap. bestämmelser om de registrerades rättigheter, 5 kap. bestämmelser om informationssäkerhet, 6 kap. bestämmelser om dataskyddsombud, 7 kap. bestämmelser om överföringar av personuppgifter till tredjeländer och internationella organisationer, 8 kap. bestämmelser om tillsynsmyndighet, 9 kap. bestämmelser om rättsskydd, 10 kap. särskilda bestämmelser och 11 kap. ikraftträdande- och övergångsbestämmelser. Enligt regeringens proposition om dataskyddslagen för brottmål ska lagen tillämpas av myndigheter Lagen ska tillämpas av myndigheter vars behörighet omfattar förebyggande, utred- 6

7 ning och avslöjande av brott eller åklagarverksamhet som har samband med brott, dömande till straffrättsliga påföljder eller verkställande av straffrättsliga påföljder. Sådana myndigheter är bland annat polisen, Gränsbevakningsväsendet, Tullen, åklagarna, domstolarna och Brottspåföljdsmyndigheten. Dessa myndigheter ska dock tillämpa den föreslagna lagen bara när de behandlar personuppgifter i ovannämnda syfte, dvs. till exempel i samband med utredning av brott eller vid handläggning av brottmål i domstol. Lagen ska dessutom tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter vid upprätthållandet av den nationella säkerheten. Behöriga myndigheter är till denna del Försvarsmakten, Gränsbevakningsväsendet och polisen, i synnerhet skyddspolisen. Till denna del grundar sig den föreslagna lagens tillämpningsområde inte på genomförandet av direktivet, utan det är fråga om en nationell lösning. Eftersom Migrationsverket i regeringspropositionen inte klassificeras som en myndighet som skyddar den nationella säkerheten, ska tillämpningsområdet för den nationella säkerheten enligt den i denna proposition föreslagna lagen om behandling av personuppgifter i migrationsförvaltningen gälla polisen och Gränsbevakningsväsendet. Vid sidan av de allmänna lagarna finns många speciallagar som reglerar behandlingen av personuppgifter. Utlänningsregisterlagen trädde i kraft Lagen stiftades före offentlighetslagen, personuppgiftslagen och grundlagen. På migrationsförvaltningens område ingår registerbestämmelser dessutom som särskilda kapitel i flera andra lagar. Såväl i migrationsförvaltningens omvärld som i sättet att reglera skyddet av personuppgifter har det skett betydande förändringar, vilket har lett till att utlänningsregisterlagen i viss mån är föråldrad och inte i alla avseenden motsvarar sitt syfte. Särskilda registerbestämmelser som införts i vissa av migrationsförvaltningens lagar gör att helheten blir splittrad. Behandlingen av personuppgifter har fått större betydelse i takt med digitaliseringen av tjänster och information. Övergången till en digital tidsålder ställer krav också på behandlingen av personuppgifter i situationer då man inom tjänsteproduktionen har övergått från en dokumentbaserad informationshantering till ett faktabaserat sätt att hantera information. I centrum står inte längre att föreskriva om register, informationssystem eller dokument, utan om på vilka grunder och hur personuppgifter behandlas så att nödvändig information blir tillgänglig, dock med respekt för integritetsskyddet och genom att säkerställa genomförandet. Regleringen bedöms inte bara med tanke på de grundläggande fri- och rättigheterna, såsom skyddet av personuppgifter och för privatlivet, utan myndigheternas flexibla samordning av information och grundläggande fri- och rättigheter är en central del av god förvaltning, fungerande samarbete mellan myndigheter och avveckling av normer. Genom att dela information kan man generera ny information och genom att förädla informationen öka dess värde. Att utnyttja information är dock inte problemfritt, utan det kräver högkvalitativ informationshantering som bygger på modern lagstiftning. Mängden ärenden som behandlas vid migrationsförvaltningen har ökat stadigt under de tio senaste årtiondena. År 2016 fanns det i Finland närmare fyra gånger fler invånare med utländsk bakgrund än Ökningen av antalet ärenden vid migrationsförvaltningen jämsides med det allt mer mångskiftande verksamhetsfältet har ställt krav på en effektivare digitaliserad ärendehantering än tidigare Behandlingen av personuppgifter i migrationsförvaltningen Lagstiftning som ger behörighet Vid migrationsförvaltningen finns ett stort antal myndigheter. De viktigaste aktörerna på migrationsförvaltningens område är Migrationsverket, polisen, Gränsbevakningsväsendet, flyktingförläggningar, flyktingsslussar, förvarsenheter, utrikesförvaltningen samt närings-, trafikoch miljöcentraler (NTM-centraler). Behörigheten hos myndigheterna vid migrationsförvalt- 7

8 ningen grundar sig på flera lagar. På utlänningars inresa, utresa samt vistelse och arbete i Finland tillämpas utlänningslagen och de bestämmelser som utfärdats med stöd av den. I medborgarskapslagen föreskrivs om villkoren för att förvärva, behålla eller förlora finskt medborgarskap samt om förfarandet vid behandlingen av ett sådant ärende. I lagen om säsongsanställning ingår bestämmelser om villkoren för tredjelandsmedborgares inresa och vistelse för säsongsanställning, om tillstånd som beviljas säsongsanställda och säsongsanställdas rättigheter under vistelsen i landet. ICT-lagen innehåller bestämmelser om villkoren för inresa för tredjelandsmedborgare som förflyttas till Europeiska unionens territorium, om tillstånd som beviljas personer som är föremål för företagsintern förflyttning och om deras rättigheter under vistelsen i landet. Forskar- och studerandelagen innehåller bestämmelser om villkoren för tredjelandsmedborgares inresa och vistelse på grund av forskning, studier, praktik och volontärarbete. I utlänningsregisterlagen ingår bestämmelser om de personregister som förs för att de befogenheter och uppgifter som följer av lagarna ovan ska kunna fullföljas. Mottagandelagen tillämpas på mottagandet av personer som söker internationellt skydd och som får tillfälligt skydd samt på hjälpen till offer för människohandel. I förvarslagen ingår bestämmelser om hur bemötandet av utlänningar som tagits i förvar med stöd av 121 och 122 i utlänningslagen ska ordnas i förvarsenheter som särskilt reserverats för detta ändamål. Syftet med integrationslagen, som hör till arbets- och näringsministeriets förvaltningsområde, är att stödja och främja integration och invandrares möjligheter att aktivt delta i det finländska samhället. Lagen innehåller registerbestämmelser om anvisande av kommun. Behandlingen av personuppgifter för anvisande av kommun kommer att koncentreras till ett informationssystem som administreras av Migrationsverket. De personregister som förs på tillämpningsområdet för lagarna ovan regleras i respektive lag i särskilda kapitel. I det avseendet har registerregleringen inte koncentrerats. Vid migrationsförvaltningen finns många myndigheter, vilket är ett att migrationsförvaltningens särdrag. Centrala aktörer på migrationsförvaltningens område är bland annat Migrationsverket, polisen, Gränsbevakningsväsendet, förläggningar och flyktingslussar, förvarsenheter, utrikesförvaltningen, närings-, trafik- och miljöcentraler (NTM-centraler) samt arbets- och näringsbyrån. Det bör noteras att en stor del av myndigheterna, till exempel polisen och Gränsbevakningsväsendet, agerar förutom som migrationsmyndighet också i sina egna så kallade kärnuppgifter, dvs. i rollen som polismyndighet eller gränsbevakningsmyndighet. Om inte något annat föreskrivs någon annanstans i lag grundar sig dessa myndigheters uppgifter och behörighet i sådana fall på polislagen (872/2011) och gränsbevakningslagen (578/2005), och personuppgifter behandlas huvudsakligen med stöd av lagen om behandling av personuppgifter i polisens verksamhet (761/2003) och lagen om behandling av personuppgifter vid gränsbevakningsväsendet (579/2005), vilka revideras för närvarande. Registerbestämmelser Insamling och registrering av personuppgifter i utlänningsregistret samt användning och utlämnande av de registrerade uppgifterna regleras i utlänningsregisterlagen. Denna lag innehåller dessutom bestämmelser om sekretess när det gäller uppgifter och handlingar som erhållits för skötseln av uppgifter enligt lagens tillämpningsområde. Utlänningsregisterlagen är en speciallag i förhållande till dataskyddslagen och offentlighetslagen. I utlänningsregisterlagen ingår sjutton paragrafer. Utlänningsregisterlagens 1 kap. innehåller allmänna bestämmelser. I 1 i lagen föreskrivs om lagens tillämpningsområde. Enligt paragrafen bestäms i lagen om inhämtande och införande av personuppgifter i utlänningsregistret samt om användning och utlämnande av uppgifter som finns i registret. Paragrafen innehåller en hänvisning till den allmänna lagen om skyddet av personuppgifter och till internationella avtal som är bindande för Finland. I 2 i utlän- 8

9 ningsregisterlagen föreskrivs om registerföring och ändamålet med registret. Enligt bestämmelsen är utlänningsregistret ett personregister som förs med hjälp av automatisk databehandling. Utlänningsregistret förs och används som underlag för behandling av, beslut om och övervakning av utlänningars inresa och utresa samt vistelse och arbete i Finland, för tryggande av statens säkerhet och för genomförande av sådana säkerhetsutredningar som avses i säkerhetsutredningslagen (726/2014). Utlänningsregistret förs dessutom som underlag för behandling av och beslut i ärenden som gäller förvärv, behållande och förlust av finskt medborgarskap samt bestämmande av medborgarskapsstatus. Utlänningsregistrets uppgifter kan användas för att ta fram statistik enligt nationella och internationella behov med beaktande av personuppgiftslagens bestämmelser om behandling av personuppgifter. I 3 i utlänningsregisterlagen föreskrivs om registeransvariga. Enligt paragrafen bär Migrationsverket och utrikesministeriet som registeransvariga det huvudsakliga ansvaret för utlänningsregistret. Det huvudsakliga ansvaret för registret har uppdelats mellan parterna på basis av utlänningsregistrets åtta delregister så att utrikesministeriet bär ansvaret för delregistret för visumärenden och delregistret för inresevillkor. Migrationsverket ansvarar för övriga delregister. Dessutom förs och används utlänningsregistret också av polisen, Gränsbevakningsväsendet, Tullen, närings-, trafik- och miljöcentralerna, arbets- och näringsbyråerna, arbetarskyddsmyndigheterna, fångvårdsmyndigheterna, diskrimineringsombudsmannen samt högsta förvaltningsdomstolen och de regionala förvaltningsdomstolarna. Anställda hos de myndigheter som för och använder registret har rätt att med hjälp av en teknisk anslutning se och behandla uppgifter som förts in i utlänningsregistret bara inom ramen för sina befogenheter. I 3 a i utlänningsregisterlagen föreskrivs om användning av fingeravtrycksuppgifter i delregistret för främlingspass och resedokument för flykting. De fingeravtryck som tagits för ansökningar om främlingspass och resedokument för flykting ska registrerats i delregistret för främlingspass och resedokument för flykting. Fingeravtrycken får användas av Migrationsverket, polisen, Gränsbevakningsväsendet och Tullen, när myndigheten fullgör uppgifter som hör till gränskontrollmyndigheten, och av utrikesministeriet och finska beskickningar. Fingeravtryck får användas bara för fastställande av identitet och tillverkning av främlingspass eller resedokument för flykting. Polisen har dessutom rätt att använda fingeravtrycksuppgifter på det sätt som föreskrivs i 16 a i lagen om behandling av personuppgifter i polisens verksamhet (761/2003). I 3 b föreskrivs om användning och jämförelse av fingeravtrycksuppgifter i delregistret för ansökningsärenden. Fingeravtryck som tas för ansökan om uppehållstillstånd, uppehållstillståndskort eller uppehållskort för unionsmedborgares familjemedlem ska införas i delregistret för ansökningsärenden. Fingeravtrycken får användas av Migrationsverket, polisen, gränskontrollmyndigheten och finska beskickningar. Fingeravtryck som införs i registret får bara användas för att inom ramen för befogenheter i anknytning till de ändamål som anges i 2 2 mom. verifiera autenticiteten av ett uppehållstillståndskort och identiteten hos innehavaren av ett uppehållstillstånd, för behandling och övervakning av och beslut i ärenden som gäller utlänningars inresa och utresa samt vistelse och arbete och för tryggande av statens säkerhet. En myndighet som har rätt att använda uppgifterna har rätt att jämföra dem med tidigare registrerade fingeravtryck i delregistret för ansökningsärenden och med fingeravtrycksuppgifter i delregistret för främlingspass och resedokument för flykting och med fingeravtryck som med stöd av 131 i utlänningslagen registrerats i det informationssystem för förvaltningsärenden som avses i 3 i lagen om behandling av personuppgifter i polisens verksamhet. Dessutom får uppgifter för kontroll av inreseförutsättningarna jämföras med fingeravtryck bland de signalementsuppgifter enligt 2 3 mom. 7 punkten i lagen om behandling av personuppgifter i polisens verksamhet som finns registrerade i informationssystemet för polisärenden, när de redan registrerade fingeravtrycksuppgifterna har samband med ett brott för vilket det föreskrivna strängaste straffet är fängelse i minst ett år. Polisen har dessutom rätt att använda de fingerav- 9

10 trycksuppgifter som registrerats i delregistret för ansökningsärenden på det sätt som föreskrivs i 16 a i lagen om behandling av personuppgifter i polisens verksamhet. Enligt 4 i utlänningsregisterlagen ansvarar en registeransvarig som för in uppgifter i utlänningsregistret vid skötseln av sina egna åligganden för att de uppgifter som den registeransvarige själv har fört in i registret är korrekta samt för att registreringen och användningen har laga grund. Enligt 4 a gäller i fråga om den registrerades rätt till upp gifter som polisen förvarar i utlänningsregistret vad som bestäms i lagen om behandling av personuppgifter i polisens verksamhet. I 4 b i utlänningsregisterlagen föreskrivs om dataskyddet vid registrering och annan behandling av identifieringsuppgifter som grundar sig på fysiska egenskaper. Utlänningsregisterlagens 2 kap. innehåller bestämmelser om utlänningsregistrets datainnehåll och källor. I 5 i lagen föreskrivs om de personer som omfattas av de uppgifter som får inhämtas för och föras in i utlänningsregistret. Uppgifter får inhämtas och föras in om dem som ansökt om visum, uppehållstillstånd, internationellt skydd, främlingspass eller resedokument för flykting och dessutom uppgifter som gäller medborgarskap, om dem som av lagt språkexamen, om personer vars uppehållsrätt registrerats och som beviljats betänketid enligt 52 b i utlänningslagen, om fysiska och juridiska personer som anställer en utländsk arbetstagare samt om personer som har ansökt om finskt medborgarskap eller behållande av finskt medborgarskap eller befrielse från finskt medborgarskap eller som lämnat in en anmälan för förvärv av finskt medborgarskap, förlorat sitt finska medborgarskap eller vars medborgarskapsstatus man har bestämt eller försökt bestämma. Dessutom får uppgifter föras in om familjemedlemmar till personer som avses ovan, om personer som bor i samma hushåll som de och om mottagare i Finland i sådana fall då uppgifterna behövs när ett ärende ska avgöras. I 6 föreskrivs om registrering av känsliga uppgifter. Paragrafen gäller i praktiken så kallade brottsuppgifter, och de personer som omfattas av registret har avgränsats noggrannare. Känsliga personuppgifter enligt 11 i personuppgiftslagen är uppgifter om en brottslig gärning eller ett straff eller någon annan påföljd för ett brott. Enligt 6 2 mom. i utlänningsregisterlagen får andra känsliga personuppgifter som avses i den lagstiftning som gäller datasekretess för personuppgifter föras in bara om den registrerade samtyckt eller om det för behandlingen av ett ärende är absolut nödvändigt att registrera uppgiften. I 7 specificeras de uppgifter som får föras in i registret. I paragrafen räknas det upp alla de uppgifter om personer som avses i 5 och 6 och som i den mån det är behövligt får föras in i utlänningsregistret. I praktiken har uppgifterna indelats enligt en persons identifieringsuppgifter och klientskap, behandling av ärenden och åtgärder som gäller dem samt person- och kontaktuppgifter för familjemedlemmar, personer som bor i samma hushåll samt för mottagare. I 8 föreskrivs om externa datakällor. Enligt paragrafen har den registeransvarige trots sekretessbestämmelserna rätt att för utlänningsregistret få sådan information som är nödvändig för utförande av de uppgifter som föreskrivs för den i lag i de fall som anges i paragrafen. Rätten att få information gäller i praktiken vissa angivna myndigheter och andra organisationer och avser vissa specificerade uppgifter. Uppgifterna kan, i enlighet med vad som avtalas med den registeransvarige, lämnas ut även i maskinläsbar form eller med hjälp av teknisk anslutning. I 9 i lagen föreskrivs om uppgifternas bevaringstid och avförande av dem ur registret. Uppgifterna om en person i utlänningsregistret avförs i sin helhet ett år efter det att denne har förvärvat finskt medborgarskap eller avlidit. Uppgifter om ett ärende avförs med vissa undantag 10

11 fem år efter det att uppgiften senast införts, om visumet, uppehållstillståndet, uppehållsrätten eller dokumentet har upphört att gälla. Avförda uppgifter arkiveras. En uppgift som har konstaterats vara felaktig får under vissa förutsättningar bevaras i fem år efter att den införts. I 3 kap. föreskrivs om sedvanlig utlämning och hemlighållande av uppgifter. I 10 ingår bestämmelser om de fall som noggrant definieras i paragrafen då information som är införd i utlänningsregistret trots sekretessbestämmelserna får utlämnas till andra myndigheter eller organisationer i den mån det är nödvändigt för att den mottagande myndigheten ska kunna utföra sina i lag bestämda uppgifter. Informationen kan lämnas ut även i maskinläsbar form eller med hjälp av teknisk anslutning. Bestämmelserna om utlämning gäller dock inte fingeravtryck som tagits på en person som ansöker om uppehållstillstånd, uppehållstillståndskort eller uppehållskort eller om främlingspass eller resedokument för flykting, om inte något annat föreskrivs någon annanstans i lag. De registeransvariga ska ha rätt att använda de registrerade uppgifterna vid skötseln av åligganden som specificeras i lagförslaget. Därför behövs ingen särskild bestämmelse om hur uppgifter får lämnas ut mellan registeransvariga. Enligt 11 ska information och handlingar som erhållits för skötseln av angivna uppgifter hemlighållas, om så bestäms genom lag eller med stöd av lag eller om det inte är uppenbart att utlämnandet av uppgifter inte medför skada eller olägenhet för Finlands internationella relationer, det internationella samarbetet eller sökanden eller hans eller hennes närstående. Enligt 24 1 mom. 24 punkten i offentlighetslagen är handlingar som gäller flyktingar eller personer som ansöker om asyl, uppehållstillstånd eller visum sekretessbelagda, om inte något annat föreskrivs särskilt. I 6 kap. i mottagandelagen föreskrivs om registret över mottagna klienter och företrädarregistret. Registret över mottagna klienter är ett personregister som förs med hjälp av automatisk databehandling och är ett personregister över personer som söker internationellt skydd, får tillfälligt skydd eller är offer för människohandel. I verkligheten sker en del av behandlingen med hjälp av automatisk databehandling och en del manuellt. I registret över mottagna klienter ingår ett riksomfattande delregister och delregister som förs av förläggningarna och flyktingslussarna. Det riksomfattande delregistret används för styrning, planering och uppföljning av mottagandet av personer som söker internationellt skydd eller får tillfälligt skydd och av hjälpen till offer för människohandel. De delregister som förs av förläggningar och flyktingslussar används för planering, ordnande, genomförande och uppföljning av mottagningstjänsterna för personer som söker internationellt skydd eller får tillfälligt skydd och av hjälpinsatserna till offer för människohandel. Migrationsverket svarar för administrationen av de riksomfattande delregistren. Förläggningarna och flyktingslussarna administrerar sina egna delregister. I registret får man förutom uppgifter som identifierar en person föra in uppgifter som gäller exempelvis den registrerades inkvartering, mottagnings- eller brukspenning eller hälsotillstånd eller uppgifter som är behövliga med tanke på planering, ordnande, genomförande och uppföljning av mottagningstjänsterna eller hjälpinsatserna. Företrädarregistret är ett personregister som definieras i 45 2 mom. i mottagandelagen, som förs med hjälp av automatisk databehandling och som består av företrädare som med stöd av 39 förordnats för barn utan vårdnadshavare. I företrädarregistret ingår ett riksomfattande delregister och de delregister som förs av förläggningarna och flyktingslussarna. Det riksomfattande delregistret används för styrning, planering och uppföljning av verksamheten i anslutning till företrädande av barn utan vårdnadshavare. Men det bör noteras att denna behörighet inte anges särskilt i bestämmelserna i mottagandelagen där myndighetens behörighet beskrivs. De delregister som förs av förläggningarna och flyktingslussarna är avsedda för den praktiska administrationen av verksamheten i anslutning till företrädande av barn utan vårdnadshavare. Migrationsverket svarar för administrationen av de riksomfattande delregistren. Förläggningarna och flyktingslussarna administrerar sina egna delregister. I företrädarregistret får 11

12 man föra in uppgifter som identifierar en företrädare samt uppgifter som gäller en företrädares förordnande. Bestämmelser om rätten att få uppgifter finns i mottagandelagens 8 kap. och särskilda bestämmelser om rätten att få uppgifter ur registret i 6 kap. 53. Dessutom föreskrivs om utlämning av uppgifter ur registret samt om utplåning och lagring av uppgifter. I 5 a kap. i förvarslagen ingår bestämmelser om klientregistret över utlänningar som tagits i förvar och förvarsenhetens besökarregister. Klientregistret över utlänningar som tagits i förvar är ett personregister som förs över utlänningar som tagits i förvar och som består av ett riksomfattande delregister och förvarsenheternas delregister. Det riksomfattande delregister som ingår i klientregistret över utlänningar som tagits i förvar förs för styrning, planering och uppföljning av den praktiska verksamheten vid förvarsenheterna. Förvarsenheternas delregister förs för utarbetande av handlingar som används vid ordnande, planering, genomförande och uppföljning av tagandet i förvar av utlänningar som tagits i förvar samt för förvaring av dessa handlingar och annat material som gäller tagande i förvar och för statistikföring. Det datainnehåll som 32 d i förvarslagen tillåter räcker dock inte till för att tillgodose dessa behov av behandling. Migrationsverket är registeransvarig för det riksomfattande delregister som ingår i klientregistret över utlänningar som tagits i förvar. Förvarsenheten är registeransvarig för sitt eget delregister och för förvarsenhetens besökarregister. Förvarsenhetens besökarregister är ett personregister som förs över personer som besöker utlänningar som tagits i förvar och över andra personer som besöker förvarsenheten. Förvarsenhetens besökarregister förs för att upprätthålla ordningen och säkerheten vid förvarsenheten. Förvarsenheten är registeransvarig för förvarsenhetens besökarregister. I registren får man föra in uppgifter som identifierar en person samt vissa andra nödvändiga uppgifter av betydelse som närmare anges i lagen. Bestämmelser om rätten att få uppgifter finns i 6 kap. och om rätten att få uppgifter ur registret i 32 g. Dessutom föreskrivs om utlämning av uppgifter ur registret och om utplåning och lagring av uppgifter. I 8 kap. i integrationslagen ingår bestämmelser om register. I 60 i lagen föreskrivs om kommunanvisningsregistret som är ett personregister som används vid anvisande av personer till kommuner. I registret för man in information om till vilken kommun personen har anvisats samt personens identifieringsuppgifter. Kommunanvisningsregistret förs av närings-, trafikoch miljöcentralen. Enligt 61 i lagen får närings-, trafik- och miljöcentralerna lämna ut sådana uppgifter ur kommunanvisningsregistret till Migrationsverket, Folkpensionsanstalten, kommunala myndigheter, utvecklings- och förvaltningscentret och arbets- och näringsbyrån som behövs för skötseln av deras uppgifter i anslutning till invandring enligt denna lag, utlänningslagen eller någon annan lag. Uppgifterna kan även lämnas ut i maskinläsbar form eller med hjälp av en teknisk anslutning. Enligt 62 i lagen ska uppgifterna om en registrerad i kommunanvisningsregistret avföras när de inte längre behövs och senast fem år efter att den sista uppgiften om den registrerade har förts in. Arkivverket bestämmer om varaktig lagring av kommunanvisningsregistret och de uppgifter som ingår i registret i enlighet med vad som bestäms i arkivlagen (831/1994). Informationssystem I migrationsförvaltningens registerbestämmelser som beskrivs ovan tillämpas begreppet av ett logiskt register enligt 3 i personuppgiftslagen. Med register avses då en datamängd som innehåller personuppgifter och som består av anteckningar som hör samman på grund av sitt användningsändamål, och som helt eller delvis behandlas med automatisk databehandling. I ett register kan således ingå såväl uppgifter som registrerats i ett informationssystem som uppgifter som förs manuellt, bara de har ett samstämmigt syfte. 12

13 De uppgifter som ingår i utlänningsregistrets datainnehåll behandlas med hjälp av automatisk databehandling i tre informationssystem: i det elektroniska ärendehanteringssystemet för utlänningsärenden (UMA), i identitetskorts-och passinformationssystemet (Heko-Passi) i fråga om främlingspass och resedokument för flykting samt i det nationella informationssystemet för viseringar i fråga om Schengenvisum. Migrationsverket administrerar det elektroniska ärendehanteringssystemet för utlänningsärenden samt identitetskorts- och passinformationssystemet i fråga om främlingspass och resedokument för flykting. Polisen svarar i övrigt för administrationen av identitetskorts- och passinformationssystemet. Utrikesförvaltningen sköter det nationella informationssystemet för viseringar. Systemet UMA och den del av identitetskorts- och passinformationssystemet som gäller främlingspass och resedokument för flykting är i tekniskt avseende sammankopplade så att datainnehållet i identitetskorts- och passinformationssystemet i fråga om främlingspass och resedokument för flykting kan läsas via systemet UMA. Dessutom kan de uppgifter som gäller främlingspass och resedokument för flykting i identitetskorts- och passinformationssystemet behandlas också via identitetskorts- och passinformationssystemets användargränssnitt. Systemet UMA och det nationella informationssystemet för viseringar är särskilda system som inte är kopplade till varandra. Datainnehållet i systemet UMA består av olika kategorier av uppgifter, och för användningen av dem har det skapats flera olika kategorier med beaktande av användarnas behov. Användarrättigheterna bildas av användarroller, och rättigheterna är mer omfattande ju fler användarroller användaren har tilldelats. Användarna beviljas rättigheter efter ansökan enligt behov och på grundval av arbetsuppgifter. I egenskap av administratör för systemet svarar Migrationsverket för hanteringen av behörigheterna för, utvecklingen av och kostnaderna för systemet UMA. I systemet UMA behandlas förutom uppgifter som hör till utlänningsregistret också uppgifter som ingår i klientregistret över mottagna asylsökande och i företrädarregistret. Registeransvariga är Migrationsverket, förläggningar och flyktingslussar. Dessa behandlar såväl klientuppgifter som gäller mottagningstjänster och hjälpinsatser till offer för människohandel som uppgifter om företrädare för asylsökande barn utan vårdnadshavare. Förläggningarna och flyktingslussarna behandlar uppgifter i registret över mottagna klienter samt uppgifter om företrädare också i andra informationssystem och filer. Förläggningarna har dessutom ett särskilt informationssystem för behandling av patientuppgifter i patientregistret för asylsökande. I systemet UMA behandlar Migrationsverket och förvarsenheterna uppgifter som ingår i klientregistret över utlänningar som tagits i förvar. Förvarsenheterna för dessutom ett besökarregister. Kommunanvisningsregistret förs av närings-, trafik- och miljöcentralerna. En koncentration av uppgifterna i kommunanvisningsregistret till systemet UMA är under beredning. 2.2 Den internationella utvecklingen samt lagstiftningen i utlandet och i EU EU:s dataskyddsreform Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan personuppgiftsdirektivet, hade två huvudsyften: att trygga skyddet av personuppgifter som en grundläggande fri- och rättighet och säkerställa fri rörlighet för per- 13

14 sonuppgifter på den inre marknaden. Personuppgiftsdirektivet tillämpades på såväl myndigheters som företags behandling av personuppgifter. Direktivet har kompletterats med flera särskilda bestämmelser, inklusive det så kallade dataskyddsdirektivet för elektronisk kommunikation, datalagringsdirektivet och rådets rambeslut 2008/977/RIF som tillämpades inom polissamarbete och straffrättsligt samarbete, nedan dataskyddsrambeslutet. Europeiska kommissionen lade den 25 januari 2012 fram ett förslag till ny dataskyddslagstiftning i Europeiska unionen. Kommissionen lade fram ett förslag till dataskyddsförordning KOM (2012) 11 slutlig som en del av ett paket som också inbegrep ett förslag till dataskyddsdirektiv KOM (2012) 10 slutlig. Genom dataskyddsförordningen stärktes Europeiska unionens allmänna ram för uppgiftsskyddet och genom dataskyddsdirektivet skyddet av personuppgifter i sådana fall då dessa behandlas för att förebygga, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Bestämmelserna antogs den 27 april Dataskyddsförordningen offentliggjordes den 4 maj 2016 och trädde i kraft den 24 maj Förordningen började tillämpas två år efter ikraftträdandet den 25 maj Enligt bestämmelserna i dataskyddsdirektivet ska medlemsstaterna senast den 6 maj 2018 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att följa detta direktiv. De ska tillämpa dessa bestämmelser från och med den 6 maj Dataskyddspaketet ersätter personuppgiftsdirektivet samt dataskyddsrambeslutet. Europeiska unionens nya dataskyddslagstiftning grundar sig på artikel 16.2 i fördraget om Europeiska unionens funktionssätt, som är en ny rättslig grund för lagstiftningen om behandlingen av personuppgifter som infördes genom Lissabonfördraget. Enligt den kan unionen utfärda lagstiftning om behandling av personuppgifter på områden som omfattas av unionsrättens tillämpningsområde. Syftet med lagstiftningsreformen är att skapa en modern, stark, sammanhängande och övergripande ram för uppgiftsskyddet inom Europeiska unionen, stärka individens rättigheter, främja den inre marknaden på dataskyddsområdet, se över dataskyddsbestämmelser som gäller polisiärt och rättsligt samarbete i brottmål, ge akt på dataskyddets globala räckvidd i synnerhet när det gäller digitala tjänster samt effektivisera tillsynen över genomförandet av dataskyddsbestämmelserna. Rätten till skydd av personuppgifter är en grundläggande rättighet som fastställs i artikel 16.1 i fördraget om Europeiska unionens funktionssätt och i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, nedan stadgan, enligt vilken var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler iakttas. I artikel 7 i stadgan tryggas skyddet för privatlivet. Enligt artikeln har var och en rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Enligt artikel 11 har var och en rätt till yttrandefrihet. Denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan en offentlig myndighets inblandning och oberoende av territoriella gränser. Mediernas frihet och mångfald ska respekteras. Enligt artikel 52.1 i stadgan ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i denna stadga vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Enligt rättspraxis vid Europeiska unionens domstol är skyddet av personuppgifter inte en ovillkorlig rätt utan måste betraktas i ljuset av sin samhällsfunktion. Rätten kan begränsas om den står i rätt proportion till målet i fråga. EU-domstolens rättspraxis har spelat en stor roll vid tolkning och tillämpning av det nu redan upphävda personuppgiftsdirektivet. EU:s data- 14